Błąd w panelu CWP starszym niż 0.9.8.1205 pozwala wykonać dowolne polecenie na serwerze bez logowania, wystarczy nazwa konta. CISA potwierdza ataki. Zaktualizuj panel i ogranicz do niego dostęp dziś.
Ten alert jest dla zarządu, CTO i CFO firm, które mają stronę, pocztę lub pliki na serwerze zarządzanym przez panel CWP (Control Web Panel, dawniej CentOS Web Panel), własnym lub u firmy hostingowej. Werdykt: jeśli panel jest starszy niż 0.9.8.1205, zaktualizuj go dziś do najnowszej wersji, bo luka pozwala wykonać dowolne polecenie na serwerze bez logowania, a model prognoz daje ponad 99% szans na próbę ataku w ciągu miesiąca.
Amerykańska agencja CISA 4 listopada 2025 roku dopisała podatność CVE-2025-48703 do katalogu KEV, czyli listy luk, co do których ma dowody wykorzystania w prawdziwych atakach. Błąd w panelu CWP pozwala osobie z internetu, bez logowania do panelu, wykonać dowolne polecenie na serwerze. Jedyny warunek: napastnik musi znać nazwę jednego z kont na serwerze innego niż administrator (root). Hasło nie jest potrzebne.
Rekord CVE opublikowano 19 września 2025 roku, a termin CISA minął 25 listopada 2025 roku. To drugi wpis CWP w katalogu KEV: poprzednia luka prowadząca do tego samego skutku, CVE-2022-44877, trafiła tam 17 stycznia 2023 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-48703 |
Data dodania do CISA KEV | 2025-11-04 |
Termin naprawy wg CISA | 2025-11-25 (21 dni od wpisu) |
Produkt | CWP Control Web Panel (dawniej CentOS Web Panel), panel administracyjny serwera |
Wersje zagrożone | Wszystkie wydania starsze niż 0.9.8.1205. Atakujący musi znać prawidłową nazwę konta innego niż root |
Wersje bezpieczne | 0.9.8.1205 (pierwsza z poprawką) i nowsze. Producent na stronie zmian stosuje obecnie numerację CWP7 1.x; zalecamy najnowsze wydanie |
Typ podatności | Wstrzyknięcie poleceń systemu operacyjnego przez parametr t_total w żądaniu changePerm menedżera plików; CWE-78 |
Ocena CVSS | MITRE: 9.0 (CVSS 3.1, KRYTYCZNA). NVD nie nadała własnej oceny. Atak przez sieć, bez logowania, bez udziału użytkownika, wysoka złożoność (wymóg znajomości nazwy konta), zakres zmieniony |
Wyobraź sobie pracownika, który dostaje kartkę z poleceniem „zmień uprawnienia do dokumentu o nazwie: raport” i wykonuje je dosłownie. Jeśli na kartce stoi „raport, a potem wynieś teczkę z umowami do samochodu na parkingu”, wykona oba polecenia, bo dostał wszystko jednym ciągiem i nie odróżnia treści od instrukcji.
Panel CWP w module menedżera plików buduje polecenie zmiany uprawnień i wkleja do niego wartość z formularza (parametr t_total), nie sprawdzając jej. Średnik i inne znaki sterujące pozwalają dopisać własną komendę. A panel ma uprawnienia do całego serwera, bo tak działa: zakłada konta, skrzynki pocztowe, bazy danych. Każda luka w panelu jest więc luką w całym serwerze, a nie w jednej stronie.
💡 Panel hostingowy to aplikacja w przeglądarce do zarządzania serwerem: stronami, pocztą, bazami danych i plikami. Powłoka systemowa to program wykonujący tekstowe polecenia; średnik oznacza dla niej koniec jednego polecenia i początek kolejnego. Wstrzyknięcie poleceń to błąd, w którym dane z formularza stają się poleceniem dla systemu. EPSS to model szacujący szansę próby wykorzystania luki w ciągu 30 dni.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Administrator zmienia uprawnienia pliku w panelu | Panel wykonuje tylko tę zmianę | Tak samo, nic się nie zmienia |
Obca osoba bez hasła wysyła żądanie do panelu | Panel odrzuca żądanie | Panel wykonuje polecenie napastnika na serwerze |
Nazwa konta (np. pochodząca od domeny firmy) | Informacja bez znaczenia | Wystarczający klucz do ataku |
Hasła w plikach konfiguracyjnych stron | Dostępne tylko administratorowi | Do odczytu przez napastnika |
Inne strony na tym samym serwerze | Oddzielone | Zagrożone razem ze stroną firmy |
źródło: magnific.comPoniżej typowy przebieg ataku dla tej luki. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Panel jest zwykle dostępny z internetu, a jedyna przeszkoda, nazwa konta, bywa łatwa do odgadnięcia, bo na serwerach hostingowych nazwy kont często pochodzą od domeny lub nazwy firmy. CISA ocenia, że ataku nie da się w pełni zautomatyzować, ale model EPSS przewiduje próby niemal na pewno.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Rozpoznanie | T+0 min | Wyszukanie w internecie paneli CWP | Lista serwerów z panelem |
2. Nazwa konta | T+kilka minut | Odgadnięcie nazwy konta z nazwy domeny lub firmy | Prawidłowa nazwa użytkownika |
3. Wykonanie polecenia | T+kilkanaście minut | Żądanie changePerm z poleceniem ukrytym w parametrze t_total | Kod napastnika działa na serwerze |
4. Kradzież danych | T+godziny | Odczyt plików stron, baz danych i haseł z plików konfiguracyjnych | Dostęp do stron, poczty i baz |
5. Wykorzystanie serwera | T+dni | Dopisanie złośliwego kodu do stron, wysyłka spamu, dalsze ataki | Strona oznaczona jako niebezpieczna, szkody wizerunkowe |
Panel administracyjny wystawiony do internetu to pierwsze, co znajdzie napastnik. Ta luka daje kontrolę nad całym serwerem: stronami, pocztą, bazami danych i plikami. Aktualizacje panelu często nie są w żadnym harmonogramie, bo „panel działa”.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Wyłączenie serwera na czas czyszczenia, niedostępna strona i poczta | Dni | 10 tys. do 100 tys. PLN (odbudowa serwera, przestój) |
Bezpieczeństwo danych | Wyciek plików klientów, baz danych i haseł | Godziny od wejścia | 20 tys. do 150 tys. PLN (analiza, wymiana haseł, obsługa incydentu) |
Finansowy | Utracone zamówienia, koszty specjalistów, migracja na nowy serwer | Tygodnie | 20 tys. do 200 tys. PLN łącznie |
Reputacyjny | Strona oznaczona jako niebezpieczna, poczta na czarnych listach | Dni do miesięcy | 20 tys. do 300 tys. PLN (utracony ruch i klienci) |
Prawny | Zgłoszenie naruszenia do UODO w ciągu 72 godzin, jeśli wyciekły dane osobowe; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 10 tys. do 80 tys. PLN (obsługa prawna), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z panelem CWP starszym niż 0.9.8.1205
dostępnym z internetu
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ jest maksymalny (pełna kontrola nad serwerem), a prawdopodobieństwo najwyższe, bo CISA potwierdza ataki, EPSS przekracza 99%, a wymóg znajomości nazwy konta w praktyce słabo chroni; panel w wersji 0.9.8.1205 lub nowszej jest poza zasięgiem tej luki.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Ustalić, czy serwery firmy (własne lub u hostingu) używają CWP i w jakiej wersji | Dziś | CTO / firma hostingowa |
2 | 🔴 NATYCHMIAST | Zaktualizować CWP do 0.9.8.1205 lub, lepiej, do najnowszego wydania | Dziś | Administrator serwera |
3 | 🔴 NATYCHMIAST | Jeśli aktualizacja dziś jest niemożliwa, ograniczyć dostęp do panelu do zaufanych adresów | Dziś | Administrator serwera |
4 | 🟠 PILNIE | Sprawdzić serwer pod kątem obcych plików w katalogach stron, nieznanych zadań cyklicznych i nowych kont | Do 3 dni | Administrator / zespół bezpieczeństwa |
5 | 🟠 PILNIE | Wymienić hasła do baz danych, kont FTP, skrzynek pocztowych i panelu | Do 3 dni | Administrator serwera |
6 | 🟡 WAŻNIE | Wpisać wersję panelu do comiesięcznego przeglądu oprogramowania | Do 30 dni | CTO |
7 | 🟡 WAŻNIE | Ocenić, czy panel wymagający drugiej krytycznej poprawki w ciągu 3 lat jest właściwym narzędziem dla firmy | Do 60 dni | CTO |
Producent wydał poprawkę w wersji 0.9.8.1205 i nie wskazano żadnego obejścia. CISA dopuszcza zastosowanie zaleceń producenta albo zaprzestanie używania produktu. Poniższe miary ograniczają ryzyko do czasu aktualizacji; efektywność to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Dostęp do panelu tylko z zaufanych adresów lub przez VPN (zapora serwera) | Wysoka: usuwa dostęp z internetu | Średnia |
Czasowe wyłączenie panelu i zarządzanie serwerem z wiersza poleceń | Wysoka | Trudna dla firm bez administratora |
Nazwy kont niedające się odgadnąć z domeny | Niska: utrudnia, ale nie usuwa luki | Trudna dla istniejących kont |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Wersja panelu CWP | Starsza niż 0.9.8.1205 | Najnowsze wydanie |
Dostęp do panelu | Otwarty z internetu | Tylko zaufane adresy |
Hasła do baz i poczty | Mogły wyciec | Wymienione |
Pliki stron | Niesprawdzone | Przejrzane pod kątem obcego kodu |
Harmonogram aktualizacji | Brak | Comiesięczny przegląd |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Ocena CISA: wykorzystanie aktywne, wpływ całkowity, atak nie w pełni automatyzowalny |
Grupy przestępcze | Brak publicznych informacji |
Kampanie ransomware | Brak potwierdzenia (CISA KEV: Unknown) |
Ocena CVSS | 9.0 KRYTYCZNA wg MITRE (CVSS 3.1); NVD bez własnej oceny |
PoC dostępny publicznie? | Brak potwierdzenia gotowego kodu w analizowanych źródłach; NVD podlinkowuje publiczną analizę techniczną firmy Fenrisk |
Liczba atakowanych firm | Brak publicznych informacji |
Wcześniejsza luka w CWP w KEV | CVE-2022-44877, dodana 17 stycznia 2023, ten sam skutek (wykonanie poleceń) |
Prognoza EPSS | Ponad 99% szans próby wykorzystania w 30 dni, najwyższe ok. 0,06% wszystkich ocenianych luk |
Oceny wyglądają na sprzeczne: CVSS i CISA mówią o trudnym, nieautomatyzowalnym ataku, a EPSS o prawie pewnej próbie. Najbardziej prawdopodobne wyjaśnienie: jedyna przeszkoda, nazwa konta, jest przeszkodą głównie formalną.
Sygnały zagrożenia dla CVE-2025-48703
CVSS 3.1 (MITRE) 9.0/10 ██████████████████░░ KRYTYCZNA
Łatwość ataku (CVSS) 2.2 █████░░░░░░░░░░░░░░░ wysoka złożoność
EPSS (próba w 30 dni) >99% ████████████████████ MAKSYMALNA
CISA KEV TAK ████████████████████ ataki potwierdzone
Druga luka CWP w KEV TAK ████████████████████ powtórka z 2023 2023-01-17 CISA dodaje do KEV wcześniejszą lukę CWP (CVE-2022-44877)
2025-09-19 Publikacja CVE-2025-48703 (naprawione od wersji 0.9.8.1205)
2025-11-04 CISA dodaje lukę do katalogu KEV
2025-11-05 NVD kończy analizę i przypisuje zakresy wersji
2025-11-25 Termin naprawy wg CISA dla agencji federalnych
... prawie 10 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Lista zmian producenta (wskazana przez CISA jako źródło poprawki): control-webpanel.com/changelog . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-48703 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Zapytać firmę hostingową lub administratora, jakim panelem zarządzany jest serwer firmy | CTO | DZISIAJ |
2 | Uzyskać pisemne potwierdzenie wersji CWP | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową aktualizację i ograniczenie dostępu do panelu | CTO | DZISIAJ |
4 | Zlecić przegląd serwera pod kątem obcych plików i kont | CTO | DO JUTRA |
5 | Zlecić wymianę haseł do baz danych, poczty i FTP | CTO | DO JUTRA |
6 | Zarezerwować budżet na czyszczenie serwera lub migrację, jeśli przegląd wykaże włamanie | CFO | DO JUTRA |
7 | Sprawdzić w umowie hostingowej, kto odpowiada za aktualizacje panelu | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Czy nasze serwery są zarządzane panelem CWP? | TAK / NIE | 🔴 |
2 | Jaka jest wersja panelu CWP? | [wersja] | 🔴 |
3 | Czy panel jest dostępny z internetu bez ograniczeń adresów? | TAK / NIE | 🔴 |
4 | Czy nazwy kont na serwerze da się odgadnąć z nazwy domeny lub firmy? | TAK / NIE | 🟠 |
5 | Czy sprawdzono katalogi stron pod kątem obcych plików? | TAK / NIE, [data] | 🟠 |
6 | Kiedy wymieniono hasła do baz danych i poczty? | [data] | 🟠 |
7 | Kto odpowiada za aktualizacje panelu: my czy firma hostingowa? | [osoba / firma] | 🟡 |
CVE-2025-48703 w panelu CWP starszym niż 0.9.8.1205 pozwala wykonać dowolne polecenie na serwerze bez hasła, jeśli napastnik zna nazwę jednego konta. CISA potwierdza ataki, a model EPSS daje ponad 99% szans na próbę w ciągu miesiąca, więc aktualizacja panelu, ograniczenie dostępu i przegląd serwera to zadania na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka o ocenie 10.0 w konsoli Cisco Secure Firewall Management Center pozwala ominąć logowanie i przejąć urządzenie. Cisco i CISA potwierdzają ataki. Zaktualizuj FMC i sprawdź ślady włamania.
Czytaj artykułBłąd w logowaniu platformy Kestra OSS pozwala bez hasła tworzyć i uruchamiać przepływy pracy, czyli wykonywać dowolne polecenia jako root. Microsoft opisał włamanie, CISA potwierdza ataki. Zaktualizuj dziś.
Czytaj artykułCISA dodała do katalogu KEV lukę z 2015 roku w narzędziu ABRT, która daje napastnikowi uprawnienia root na serwerach RHEL 7 i CentOS 7. Zaktualizuj pakiet abrt i zaplanuj wymianę systemów bez wsparcia.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.